2019年9月16日 星期一

開源程式碼檢測平台:SonarQube



現代軟體越來越強,原始程式碼也越來越龐大,加上需要不斷追趕的時程,每個軟體團隊對於兼顧程式碼品質已經日漸困難。

雖然市面上已經有多種針對原始碼品質做白箱檢測的工具軟體,可惜都價格不菲,對於缺少資金的開發團隊來說,就如一道銅牆鐵壁卡在前面,無法前進。






方案介紹

沒關係,開源方案中有個套件正好可以解決這個問題 。

SonarQube 是一款基於 Java 開發的原始碼檢測與品質管理系統,因著 Java 的關係,Server 與 Client 都是跨平台的。

它同時具備有商業與開源版本,本文是以社群開源版本為主。




SonarQube 提供功能豐富:

  • 可分析多種程式語言,並可加購以支援更多種類
  • 檢測安全漏洞
  • 分析可靠性、重覆性、技術債務、測試覆蓋率
  • 提供問題標註資訊以及程式碼改善建議
  • 提供追蹤修訂機制,可以了解問題改善歷程
  • 支援團隊協作,以及權限機制
  • 可以細部調整程式分析的策略
  • 整合 GitHub、Gitlab、LDAP、AD 等驗證機制
  • 成熟的更新中心,可方便的升級系統與安裝外掛套件
  • 中文操作介面 (目前簡體,據稱繁體中文快要出來了)








安裝方式


SonarQube 支援跨平台,安裝方式也相單簡單,至官方 GitHub 專案位置下載並解壓縮後,執行啟動指令檔即可運作起來。

```bash # on linux bin/linux-x86-64/sonar.sh start # on macOS bin/macosx-universal-64/sonar.sh start # on Windows bin\windows-x86-64\StartSonar.bat ```
接著,使用瀏覽器連接至 http://localhost:9000 即可進入使用。

在此強烈提醒,請不要使用 Firefox 瀏覽器操作 SonarQube,會發生一些匪夷所思的事,它浪費了我好幾個夜晚。









主要功能

透過更新中心,可以快速的安裝需要的功能外掛,系統與外掛升級也是在此簡單點選就可以完成。不過要特別注意外掛的授權,有些是商業套件。


更新中心


使用者可以自己決定什麼程式語言要用那些特徵做檢測,內建了非常多的規則,依據需求可以更嚴格或者更寬鬆。


規則設定


對於各種程式語言以及品質檢測的分數,可以自訂每一個項目的細節,以做為軟體品質的把關。


品質設定


Scanner

基本設定完成後,第二個階段是配置 Client 端使用 Scanner 程式,依據不同的作業系統下載相對應的 Scanner。



將 Scanner 下載並解壓縮後,需要設定 conf 與 project 裡的設定檔,請參考官網文件。



設定完成後,在想要檢測的專案路徑下,執行 sonar-scanner 即可開始分析專案,並會把檢測結果送到伺服器上。


若您的環境中建立有 CI,您也可以把 SonarQube 掛接進去成為自動檢測的一個環節。


查看報告

最重點的時刻來了,所有分析完的結果會用非常直覺的資訊看板、圖表、數字呈現。


專案總覽



安全性指標



技術債指標



重複率指標



問題清單




SonarQube 不僅僅是幫我們找出原始碼的各種問題,還會儘可能的提供我們問題資訊,描述原因,甚至是改善建議,這將為我們節省大量的程式修正時間。

如圖中所述,在一段 HTML 裡它建議我們把 < b >  改為較新的 < strong >  標籤。


問題改善建議








結論

SonarQube 雖然是開源軟體,但它所提供的功能並不簡單,已經俱備許多商業軟體才能擁有的進階功能,對於軟體開發團隊來說,大大節省經費,也大大節省時間。

如果您所使用的語言不在 SonarQube 支援之列,它也提供選購模組的方式來增加支援能力。







參考資料